¿Qué pasó?
El miércoles 21 de octubre de 2026, el equipo de Node.js publicó parches para 10 fallos de seguridad. Cuatro de ellos son de severidad alta. Afectan a todas las versiones que hoy reciben soporte: la 22, la 24 y la 26.
Si no lo conoces, Node.js es el «motor» que hace funcionar millones de sitios web, tiendas online, APIs y aplicaciones. Aunque nunca lo hayas instalado tú mismo, es muy probable que alguna app que usas a diario corra sobre él.
Un detalle importante: no fue un parche de emergencia improvisado. Node.js avisó con días de anticipación que publicaría estas correcciones. Eso es buena señal: así funciona un proyecto open source maduro.
El fallo más grave: Brotli
El problema más serio se llama CVE-2026-111497 y está en Brotli, una herramienta que comprime información para que viaje más rápido por internet. Según Node.js, este fallo podría permitir que un atacante ejecute código a distancia en el servidor.
Piénsalo así: Brotli es como una máquina que recibe paquetes «al vacío» y los vuelve a inflar. Si alguien envía un paquete preparado con trampa, la máquina lo infla más allá del espacio que tenía reservado y termina escribiendo donde no debía. En ese desorden, un atacante podría colar sus propias instrucciones.
El fallo no está en el código propio de Node.js, sino en la librería Brotli que viene incluida dentro. Por eso el propio proyecto Brotli también publicó su corrección el mismo día. Están expuestas, sobre todo, las aplicaciones que aceptan datos comprimidos con Brotli que llegan desde fuera.
Los otros fallos, en cristiano
Los otros nueve fallos se agrupan en pocas familias. Ninguno es tan grave como el de Brotli, pero todos conviene cerrarlos.
- Certificados que se dejan engañar (3 fallos, uno de ellos alto). Un certificado es como el DNI de un sitio web. Estos fallos permitían que Node.js aceptara un «DNI» que no correspondía, por ejemplo si la dirección IP se escribía con números raros. Un atacante podría hacerse pasar por otro servidor.
- Nombres de dominio cortados (1 fallo alto). Al buscar ciertos nombres en internet, Node.js podía «cortarlos» a la mitad y consultar otro sitio distinto al que pediste.
- Respuestas que llegan antes de tiempo (1 fallo medio). En conexiones que se reutilizan, la app podía aceptar una respuesta que no era la de su pregunta.
- Números aleatorios repetidos (1 fallo medio). En ciertos casos, los números «al azar» que se usan para identificadores podían repetirse entre ejecuciones.
- Permisos y archivos ZIP (3 fallos bajos). Pequeñas grietas en el modelo de permisos y en la lectura de ZIP. Afectan a casos de uso muy específicos.
Además, la actualización trae al día componentes internos como OpenSSL, Undici y los certificados raíz de confianza.
¿Me afecta?
Si tienes un negocio digital, una tienda online, una API o un sistema interno hecho con JavaScript en el servidor, lo más probable es que sí. Hazte estas tres preguntas:
- ¿Mi web, app o sistema corre sobre Node.js? Si no lo sabes, pregúntale hoy a tu equipo técnico o a tu proveedor.
- ¿Uso una versión 20 o más antigua? Esas versiones ya no reciben parches. Siguen expuestas a todos estos fallos y no habrá corrección para ellas.
- ¿Uso contenedores, servicios en la nube o herramientas que traen Node.js «por dentro»? También cuentan, aunque no lo veas.
Si solo navegas por internet como usuario, no necesitas hacer nada: la responsabilidad es de quien administra los servidores.
Qué hacer hoy
La solución es simple: actualizar. Estas son las versiones mínimas seguras para cada línea:
| Si usas… | Actualiza a… | Estado |
|---|---|---|
| Node.js 26 | 26.12.1 o superior | Pasa a LTS el 28 de octubre de 2026 |
| Node.js 24 | 24.22.1 o superior | LTS en mantenimiento |
| Node.js 22 | 22.23.4 o superior | LTS en mantenimiento hasta abril de 2027 |
| Node.js 20 o anterior | Migrar a 22, 24 o 26 | Sin soporte, sin parche |
Y luego, cuatro pasos prácticos:
- Haz un inventario: anota todos los lugares donde corre Node.js (servidores, contenedores, nube).
- Revisa la versión con el comando
node -vy compárala con la tabla. - Actualiza primero lo que está expuesto a internet, sobre todo si recibe archivos o datos comprimidos.
- Si usas imágenes Docker, vuelve a construirlas con la versión nueva: no basta con reiniciarlas.
Mi consejo como emprendedor: no esperes a que «algo pase». Un parche de seguridad cuesta minutos; un incidente puede costar tu negocio.
Dejar una contestacion